CN112714107B - 一种终端单路智能网口锁及其系统和控制方法 - Google Patents

Abstract

本发明公开了一种终端单路智能网口锁及其系统和控制方法，属于党政机关涉密网络安全保密科学技术领域，由硬件结构和控制系统构成，带硬件防护的插头部分插在涉密计算机网口端，无法手动拔出，控制系统能提供内外网的双向通信验证插入网口母插孔中的网线归属的网络是否是涉密网络，非涉密网络则不接通网口公插头和网口母插孔之间的线路；解决涉密应用终端设备与机房涉密网络的安全接入问题，防止用户插错网线发生违规外联报警。结合信息管理系统，可实现电脑和各种信息化设备的网络端口可视化管理。本产品使用方便即插即用，不需要用户具备计算机专业知识，更好的防止违规外联、杜绝失泄密隐患、防止黑客入侵、病毒攻击或非授权联网使用设备等情况的发生。

Description

一种终端单路智能网口锁及其系统和控制方法

技术领域

本发明涉及针对涉密网络使用的安全保密设备技术领域，具体为一种终端单路智能网口锁及其系统和控制方法。

背景技术

当今信息化时代，信息化设备都是通过网络进行连接，但是随着我国信息网络的迅猛发展，国内外安全形势日益严峻。党委、政府、企事业及军警单位的电脑及一些重要的数据资料逐步迁往涉密网络中进行严格管控，而涉密网络只允许通过物理连接，并实行谁使用谁负责的原则。但是，即便是做了很多安全防范的措施，还是不能杜绝涉密电脑及设备的非法外联事故，虽然各系统对内外网的接入有严格的规定和严厉的考核，但仍有部分单位和员工会发生违规外联事件，而发生安全保密违规事件，势必造成单位年终考核扣分，影响单位年底评先评优。更为严重的是违规外联有可能使我们的涉密网络受到黑客、病毒的攻击造成涉密网络中的各应用系统瘫痪和企业敏感信息的外泄。导致上述问题的原因其一是由于网络插头及网络插头是标准化的通用器件，就像一扇没有锁的门，难以进行有效管控，任何人都可以随意拔插，而且网络接头是通用件，外形外貌一模一样，无法区分哪根是涉密网线，哪根是公网网线。其二涉密内网横向建设发展，很多机关单位逐步形成人手一台涉密终端和一台非涉密终端的局面，而各地办公环境的紧张导致涉密设备与非涉密设备无法保持有效间隔距离，设备用户或维护人员很容易插错网线或者网络端口，立刻引发设备违规外联报警，造成失泄密风险，触发三级监测通报，甚至更严重的情况是直接把内网外网错误接通，引起并网的重大网络安全事故，而事后又很难搞清楚责任是谁的情况。

可见，目前在涉密领域环境下的工作中，普遍存在着涉密网络网线、涉密计算机的网口可随意被拔插、网线网口被误插错插的问题困扰。

发明内容

为解决上述现有技术存在的不足和缺陷，针对上述技术、管理、应用上的诸多问题，本发明提供的网络端口安全电子锁，解决涉密应用终端设备与机房涉密网络的安全接入问题，防止用户插错网线发生违规外联报警。结合信息管理系统，可实现电脑和各种信息化设备的网络端口可视化管理。本产品使用方便即插即用，不需要用户具备计算机专业知识，更好的防止违规外联、杜绝失泄密隐患、防止黑客入侵、病毒攻击或非授权联网使用设备等情况的发生。具体的，本发明的技术方案所采用的原理：本发明的产品一种终端单路智能网口锁，包括网口公插头、网口母插孔和网口锁控制盒体，网口锁控制盒体内安装有内置电源、控制模块、验证芯片、继电器等元器件，构成一个微型程序电路系统，网口公插头用于插入PC网口上，整个产品作为一个外置配置使用，常态下，内置微程序电路处于停机状态，且保持网口公插头和网口母插孔之间呈断开的非连接线路状态；需要对PC机插网线使用时，只能将网线插入网口母插孔内，网线RJ45端子一插入网口母插孔，触碰并开启微程序电路的弹性开关，程序启动进行对插入的网线所在的网络进行验证，判断当前网络是否为外网，即向预置在外网网络中的服务地址发送访问信号，该外网端服务器接收到访问信号后，反馈一个应答信号，当验证芯片接收到该应答信号后，说明该网络属于外网网络，则不接通网口公插头和网口母插孔之间的线路，该网线无法接入到涉密PC机上，起到防护功能；若验证芯片接收不到该应答信号，则向内网预置好的服务端平台发送内网访问信号，内网服务器端收到访问信号后反馈应答信号，验证芯片识别应答信号准确后，识别出该网络属于涉密内网，且又无法收到外网的应答信号，说明当前网络安全，可以接入涉密计算机，则通过控制模块控制网口公插头和网口母插孔之间的线路接通，涉密计算机接入该涉密网络。另一方面，在网口公插头上设置有防护外壳，外壳将RJ45端头的锁定弹簧片包裹在内，一旦网口公插头插上涉密计算机，则无法通过手动方式将本智能网口锁从该台涉密计算机上拔出，即实现了防止了人为更换网线插头的随意性和可实施性，需要拔出本网口公插头时，需要对操作人员的身份进行权限验证，即本产品内置的射频识别模块，能够识别当前操作人员的权限，只有符合预置权限管理的操作用户，才能通过射频卡完成身份权限验证后，防护外壳内的步进电机正转，拉动RJ45端头的锁定弹簧片下压，解除RJ45端子和网口之间的锁定状态，操作用户才能手动拔下本智能网口锁。另一方面，管理权限可以为两种，一种为普通权限，可用于控制网口公插头的解锁；一种则是管理员权限，通过射频信息实现数据交换等操作。

本发明的有益效果：

（1）本智能网口锁通过对RJ45端子的外壳设计和微型步进电机的组合，实现对RJ45端子形成锁体结构，一旦插入网口，无法手动解锁拔出，需要对操作人员进行身份权限认证，具有权限的操作人员才能通过内置的微型步进电机带动锁定弹簧片下压，解锁RJ45端子，才能拔出，有效的防止了其他人员误操作将涉密计算的涉密网线随意拔出的情况，防止他人私接、私换网线的功能。

（2）通过本智能网口锁的内置验证程序，能够在插入网线的同时在本本智能网口锁内就能进行是否为涉密网络还是公网外网的验证，防止外网线错插入涉密计算机后才发现错插的情况，有效的避免了误插入涉密计算所带来的后果和风险。

（3）通过本智能网口锁的双向通讯验证，能有效的识别网线所接入的网络是否处于和外网连通的验证，只要能连接至外网的情况，一律不会接通至PC网口，有效、严谨、精准、安全的实现对涉密计算机网口的防护功能。

附图说明

图1为一种终端单路智能网口锁的产品立体图；

图2为一种终端单路智能网口锁的网口公插头结构示意图；

图3为一种终端单路智能网口锁的网口公插头插入涉密计算机网口被锁定弹簧片锁定的内部构造原理示意图；

图4为一种终端单路智能网口锁的网口公插头插入涉密计算机网口的状态示意图；

图5为外壳遮罩住锁定弹簧片的结构示意图；

图6为一种终端单路智能网口锁的网口母插孔的结构示意图；

图7为一种终端单路智能网口锁的使用状态效果示意图；

图8为步进电机启动解除锁定弹簧片锁定状态的原理示意图；

图9为一种终端单路智能网口锁系统的功能结构示意图；

图10位一种终端单路智能网口锁控制方法的流程示意图；

其中：1—网口公插头、2—网口母插孔、3—网口锁控制盒体、31—弹性开关、32—锁定弹簧片、33—外壳、34—步进电机、35—线绳、36—射频识别模块、4—RJ45端子、5—涉密计算机网口。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式并参照附图，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

实施例1：产品实施例结构和功能介绍

一种终端单路智能网口锁，包括网口公插头1、网口母插孔2和网口锁控制盒体3，网口母插孔2集成安装在网口锁控制盒体3后端，网口公插头1连接至网口锁控制盒体3前端，其中：网口锁控制盒体3内包括内置电源、控制模块、验证芯片，网口公插头1和网口母插孔2之间通过控制模块连接；内置电源为整个验证芯片和控制模块等功能件进行供电，网口公插头1用于插在涉密计算机的网口上，网口母插孔2则用于外接网线端子。验证芯片连接至控制模块，验证芯片能识别接入网口母插孔2的网线所处网络是否为涉密网络或非涉密网络，并能发送保持断开或连通的控制信号至控制模块；控制模块能控制网口公插头1和网口母插孔2之间线路的物理通断状态。当经过验证芯片对接入的网线所述网络状况进行验证后，如果未存在接入外网的网络风险且是属于经过验证的涉密内网网络的，控制模块才控制内置的继电器接通网口公插头1、网口母插孔2的线路，实现涉密计算机接入涉密网线；当检测到网线所属网络为外网环境的，则保持网口公插头1和网口母插孔2之间的断开状态，涉密计算机和该网线无法接通，达到保护防护目的。

优选地，网口母插孔2内设有弹性开关31，弹性开关31连接至验证芯片，弹性开关31能在网口插入后接通内置电源和验证芯片、控制模块的电路；能在网口拔出口，断开内置电源和验证芯片、控制模块的电路。即当网口母插孔2内被插入RJ45端子4时，RJ45端子4的端头顶部触压弹性开关31，接通电源的电路，验证芯片启动，开始对网络进行识别和验证，同时也提供对其他元器件的用电。当RJ45端子4从网口母插孔2中拔出后，弹性开关31被释放，电源电路断开，验证芯片和其他电器元件断电，处于待机状态，节省内置电源的能耗。

网口公插头1还包括有将锁定弹簧片32遮罩住的外壳33，安装在外壳33内部位于网口公插头1侧面的步进电机34，位于网口公插头1顶部的锁定弹簧片32上插穿安装有一根一端固定在网口公插头1一侧、另一端与步进电机34绕线端连接的线绳35，步进电机34能带动绕线端正转或反转以实现对线绳35的收拉和释放；所述步进电机34连接至控制模块。外壳33将锁定弹簧片32包裹，对外形成一道防护结构，即无法手动将网口公插头1从涉密计算机上拆除、拔出，只有经过系统认证，符合权限的，才能在控制模块的作用下，控制步进电机34正转，通过线绳35的收紧，而拉动RJ45端头的锁定弹簧片32下压，解除RJ45端子4和网口之间的锁定状态，操作用户才能手动从涉密计算机上拔下本智能网口锁的网口公插头1。

优选地，锁控制盒体内还包括有射频识别模块36，射频识别模块36与验证芯片连接。射频识别模块36内置于网口锁控制盒体3内部的顶面下方，具备对射频卡的感应并进行数据读取交换功能，其通过验证芯片能对读取的数据信息进行验证和处理，发出相应的控制指令或数据信息。

实施例2：系统功能介绍

一种终端单路智能网口锁系统，包括网口公插头、网口母插孔、验证芯片、内置电源、控制模块，其中：

验证芯片，包括存储功能和运算功能，用于对网口母插孔中插入的网线进行归属网络验证，能接收和发送验证数据信息，并运算出验证结果，并将验证结果发送至控制模块；

控制模块，包括继电器，与验证芯片连接，用于接收验证芯片发送的验证结果，并基于该验证结果通过继电器控制网口公插头和网口母插孔二者之间保持断开或连通状态；

内置电源，用于与验证芯片和控制模块连接并提供电源。

验证芯片对网口母插孔中插入的网线进行归属网络验证，还包括双向通讯认证，所述双向通讯认证为外网访问认证和涉密网访问认证；所述外网访问认证为验证芯片对指定的处于外网上的服务端发送外网认证请求，外网上的服务端接收到外网认证请求后反馈验证芯片相应的外网认证指令，验证芯片接收到外网认证指令后，判断接入网口的所属网络处于外网；所述涉密网访问认证为验证芯片对指定的处于涉密网上的服务端发送涉密网认证请求，涉密网上的服务端接收到涉密网认证请求后反馈验证芯片相应的涉密网认证指令，验证芯片接收到涉密网认证指令后，判断接入网口的所属网络处于涉密网；验证芯片还用于对接收到外网认证指令后，记录接网错误信息。

优选地，本系统还包括有射频识别模块，连接至控制模块和验证芯片，用于对射频卡信息的读取并发送至验证芯片，由验证芯片验证射频卡的权限和种类，所述验证芯片还用于识别射频卡是否是授权权限，根据授权权限为普通权限的，能对控制模块发送控制网口公插头拔出指令；为管理员权限的，能对涉密网络服务管理端进行信息参数写入或重置；为不具备权限的，发出拒绝提示。

此外，本系统还包括预先设置在涉密内网中搭建的智能网口锁服务管理平台，也在外网上搭建一个外网服务管理平台，分别用于存储用于网络验证的程序、数据信息、智能网口锁产品信息，用于和验证芯片所发出的验证信息进行比对、验证和反馈信息功能。

实施例3：终端单路智能网口锁控制方法实际控制步骤介绍

一种终端单路智能网口锁控制方法，包括以下步骤：

第一步、在涉密网络中预先设置安装服务管理端，服务管理端包括存储有验证信息的内网验证服务器；在外网网络中预设有公网验证服务器，公网验证服务器包括存储有验证信息；此处所述的验证服务器均具备数据信息的存储、验证运算功能，并能作出验证反馈；

第二步、网口母插孔接入一根网线的网口，网口接入到位后启动验证程序；

第三步、验证程序对网口母插孔中插入的网线进行归属网络验证，通过该网线向预设的内网验证服务器发送验证访问信息，同时也向公网验证服务器发送验证访问信息；此处所述的验证访问信息的步骤可以包含为：首先，由验证程序通过COOKIE向该网络同时发送与内网验证服务器、公网验证服务器相对应的网址的登录请求，并检验是否登录网址成功；其次，由内网验证服务器或公网验证服务器检验该验证程序所处设备是否是预设过的授权设备，若是则允许登录，当登录成功后，验证程序验证该服务器上是否运行着指定的预置程序；

第四步、内网验证服务器和公网验证服务器接收到验证访问信息后都能各自向验证程序反馈验证信息；接第三步，若运行着指定的预置程，则由验证服务器向验证程序发送一个反馈指令；

本验证程序接收到反馈指令后，即可确定该网络所属网络是涉密内网还是公网外网，或者该网络是否能够接入外网，即第五步、验证程序接收反馈的验证信息，基于验证信息判断该网线所归属的网络类型；

第六步、该网线的网络类型为非公网且验证为涉密内网时，控制继电器接通网口母插孔和网口公插头之间的线路；只要反馈验证信息中含有来自公网的，均不接通网口母插孔和网口共插头之间的线路，并记录错接信息。防止路由器被插错，能同时访问内外网的情况。

优选地，第三步中还包括：内网验证服务器在接收到验证请求时，也对验证程序预置的产品信息进行产品识别和验证，产品信息识别验证通过后，才允许其登录内网验证服务器进行下一步验证，若无法通过，则不反馈任何信息，验证程序无法通过验证，网口母插孔和网口公插头之间的线路保持断开状态；若通过验证，则进行第四步。即双向认证需要同时通过，该台涉密计算机才能接入涉密网络。

该网线的网络类型为非公网（涉密网络），且验证服务器发送的验证访问信息正确，但是反馈验证信息中未含有来自公网的验证访问信息，才控制继电器接通网口母插孔和网口共插头之间的线路。

另一方面，本发明的网口公插头用于插入计算机网口，且所述网口公插头的锁定弹簧片被外壳遮罩保护，且被一根线绳穿过，线绳的一端连接至步进电机的绕线端，常态下步进电机和线绳处于松弛状态，网口公插头一旦被插入即被锁住；需要拔出网口公插头时，需要通过与验证程序连接的射频识别模块对射频卡信息的读取并发送至验证程序，由验证程序验证射频卡的权限和种类，包括以下步骤：

若为普通权限的，能对控制模块发送控制步进电机正转，回收线绳，下压锁定弹簧片，使网口公插头处于可拔出的状态，一定时间后步进电机复位反转，松放线绳，使锁定弹簧片复位，网口公插头处于不可拔出的状态；

若为管理员权限的，能对涉密网络服务管理端进行信息参数写入或重置；

若为不具备权限的，发出拒绝提示。

应当理解的是，本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims (6)

1.一种终端单路智能网口锁，其特征在于，包括网口公插头（1）、网口母插孔（2）和网口锁控制盒体（3），网口母插孔（2）集成安装在网口锁控制盒体（3）后端，网口公插头（1）连接至网口锁控制盒体（3）前端，其中：

网口锁控制盒体（3）内包括内置电源、控制模块、验证芯片，网口公插头（1）和网口母插孔（2）之间通过控制模块连接；

验证芯片连接至控制模块，验证芯片能识别接入网口母插孔（2）的网线所处网络是否为涉密网络或非涉密网络，并能发送保持断开或连通的控制信号至控制模块；

控制模块能控制网口公插头（1）和网口母插孔（2）之间线路的物理通断状态；

所述网口公插头（1）还包括有将锁定弹簧片（32）遮罩住的外壳（33），安装在外壳（33）内部位于网口公插头（1）侧面的步进电机（34），位于网口公插头（1）顶部的锁定弹簧片（32）上插穿安装有一根一端固定在网口公插头（1）一侧、另一端与步进电机（34）绕线端连接的线绳（35），步进电机（34）能带动绕线端正转或反转以实现对线绳（35）的收拉和释放；所述步进电机（34）连接至控制模块；

网口锁控制盒体（3）内还包括有射频识别模块（36），射频识别模块（36）与验证芯片连接。

2.根据权利要求1所述的一种终端单路智能网口锁，其特征在于，所述网口母插孔（2）内设有弹性开关（31），弹性开关（31）连接至验证芯片，弹性开关（31）能在网口插入后接通内置电源和验证芯片、控制模块的电路；能在网口拔出口，断开内置电源和验证芯片、控制模块的电路。

3.一种终端单路智能网口锁系统，包括网口公插头、网口母插孔，其特征在于，还包括：验证芯片、内置电源、控制模块，其中：

验证芯片，包括存储功能和运算功能，用于对网口母插孔中插入的网线进行归属网络验证，能接收和发送验证数据信息，并运算出验证结果，并将验证结果发送至控制模块；网线进行归属网络验证，还包括双向通讯认证，所述双向通讯认证为外网访问认证和涉密网访问认证；

控制模块，包括继电器，与验证芯片连接，用于接收验证芯片发送的验证结果，并基于该验证结果通过继电器控制网口公插头和网口母插孔二者之间保持断开或连通状态；

内置电源，用于与验证芯片和控制模块连接并提供电源；

射频识别模块，连接至控制模块和验证芯片，用于对射频卡信息的读取并发送至验证芯片，由验证芯片验证射频卡的权限和种类，

所述验证芯片还用于识别射频卡是否是授权权限，根据授权权限为普通权限的，能对控制模块发送控制网口公插头拔出指令；为管理员权限的，能对涉密网络服务管理端进行信息参数写入或重置；为不具备权限的，发出拒绝提示；

网口公插头包括有将锁定弹簧片（32）遮罩住的外壳（33），安装在外壳（33）内部位于网口公插头（1）侧面的步进电机（34），位于网口公插头（1）顶部的锁定弹簧片（32）上插穿安装有一根一端固定在网口公插头（1）一侧、另一端与步进电机（34）绕线端连接的线绳（35），步进电机（34）能带动绕线端正转或反转以实现对线绳（35）的收拉和释放；所述步进电机（34）连接至控制模块。

4.根据权利要求3所述的一种终端单路智能网口锁系统，其特征在于，

所述外网访问认证为验证芯片对指定的处于外网上的服务端发送外网认证请求，外网上的服务端接收到外网认证请求后反馈验证芯片相应的外网认证指令，验证芯片接收到外网认证指令后，判断接入网口的所属网络处于外网；

所述涉密网访问认证为验证芯片对指定的处于涉密网上的服务端发送涉密网认证请求，涉密网上的服务端接收到涉密网认证请求后反馈验证芯片相应的涉密网认证指令，验证芯片接收到涉密网认证指令后，判断接入网口的所属网络处于涉密网；

验证芯片还用于对接收到外网认证指令后，记录接网错误信息。

5.一种终端单路智能网口锁控制方法，其特征在于，包括以下步骤：

S1、在涉密网络中预先设置安装服务管理端，服务管理端包括存储有验证信息的内网验证服务器；在外网网络中预设有公网验证服务器，公网验证服务器包括存储有验证信息；

S2、网口母插孔接入一根网线的网口，网口接入到位后启动验证程序；

S3、验证程序对网口母插孔中插入的网线进行归属网络验证，通过该网线向预设的内网验证服务器发送验证访问信息，同时也向公网验证服务器发送验证访问信息；

S4、内网验证服务器和公网验证服务器接收到验证访问信息后都能各自向验证程序反馈验证信息；

S5、验证程序接收反馈的验证信息，基于验证信息判断该网线所归属的网络类型；

S6、该网线的网络类型为非公网且验证为涉密内网时，控制继电器接通网口母插孔和网口公插头之间的线路；

只要反馈验证信息中含有来自公网的，均不接通网口母插孔和网口共插头之间的线路，并记录错接信息；

其中：所述网口公插头用于插入计算机网口，且所述网口公插头的锁定弹簧片被外壳遮罩保护，且被一根线绳穿过，线绳的一端连接至步进电机的绕线端，常态下步进电机和线绳处于松弛状态，网口公插头一旦被插入即被锁住；需要拔出网口公插头时，需要通过与验证程序连接的射频识别模块对射频卡信息的读取并发送至验证程序，由验证程序验证射频卡的权限和种类，包括以下步骤：

识别射频卡的授权权限；

若为普通权限的，能对控制模块发送控制步进电机正转，回收线绳，下压锁定弹簧片，使网口公插头处于可拔出的状态，一定时间后步进电机复位反转，松放线绳，使锁定弹簧片复位，网口公插头处于不可拔出的状态；

若为管理员权限的，能对涉密网络服务管理端进行信息参数写入或重置；

若为不具备权限的，发出拒绝提示。

6.根据权利要求5所述的一种终端单路智能网口锁控制方法，其特征在于，所述步骤S3还包括：内网验证服务器在接收到验证请求时，也对验证程序预置的产品信息进行产品识别和验证，产品信息识别验证通过后，才允许其登录内网验证服务器进行下一步验证，若无法通过，则不反馈任何信息，验证程序无法通过验证，网口母插孔和网口公插头之间的线路保持断开状态；若通过验证，则进行步骤S4；

所述步骤S6还包括：该网线的网络类型为非公网，且验证服务器发送的验证访问信息正确，且反馈验证信息中未含有来自公网的验证访问信息，才控制继电器接通网口母插孔和网口共插头之间的线路。

Images